Khaladaadka TLS oo kaliya VPN-ga shirkadda: hagaaji bakka kaydka kalsoonida saxda ah

Dhismaha Go, rakibidda Composer iyo macmiilka Python dhammaantood waxay ka shaqeeyaan guriga oo dhammaantood waxay ku guuldareystaan gudaha VPN-ga shirkadda. Qaabkaas wuxuu ka hadlayaa wadada, ma aha abka. Wax ku yaal tunnel-ka ayaa beddelay silsiladda shahaadada ee ay arko hawshaada, ama wuxuu dib u dhigay is-gacan-qabsiga ka hor inta aan silsilad iman. Labada ciladood waxay terminal-ka u eg yihiin isku mid oo waxay u baahan yihiin jawaabo kala duwan.

Saddex fariin, saddex hab

Khaladka x509 certificate signed by unknown authority wuxuu ka dhigan yahay in silsilad la dhisay oo xididkeeda ka maqan yahay bakka kaydka kalsoonida ee hawshaas isticmaasho. Khaladka self-signed certificate in certificate chain badanaa wuxuu ka dhigan yahay in wakiilka hubinta ku jawaabay shahaadadiisa, taas oo ah silsilad aan deegaankaaga fulintu aqoonsanayn. SSL EOF inta lagu jiro is-gacan-qabsiga wuxuu ka dhigan yahay in xiriirka la xiray ka hor inta aan la dirin wax shahaado ah oo la isticmaali karo, taasna waa qalab dhexdhexaad ah oo diida ClientHello, marnaba maaha dhibaato kalsooni.

Ku darista calanka aan badbaadada lahayn waxay ka dhigtaa saddexda fariin inay libdhaan iyadoo dhexgalka meeshiisa taagan, waxayna meesha ka saartaa hubinta oo qaban lahayd weeraryahan dhab ah.

Hel xirmada ay hawshu run ahaantii akhrido

Xididka shirkadda ee lagu rakibay bakka kaydka Windows wuxuu hagaajiyaa biraawsarada iyo abka .NET ee la tashada bakka kaydka nidaamka. Waxba ma sameeyo dhismo ku socda gudaha weel, oo sita xirmadiisa CA, mana sameeyo wax hawsha Python ee isticmaasha certifi ama hawsha Node ee isticmaasha liiskeeda ku jira. Go wuxuu akhriyaa barkada nidaamka ee deegaanka uu binary-gu ku socdo, taas oo ah weelka, ma aha laptop-ka. Sidaas darteed hal mishiin wuxuu isku mar soo saaraa biraawsar shaqaynaya iyo qalab dhismo guuldareysta.

Weydii qalabka halkii aad ka fikiri lahayd. python3 -c "import ssl; print(ssl.get_default_verify_paths())" wuxuu daabacaa faylasha Python la tashan doono, node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" wuxuu muujinayaa haddii beddelaad horey loo dejiyay. Weelka, ku socodsii isla hubinta gudaha sawirka, maxaa yeelay waa deegaanka uu dhismuhu run ahaantii isticmaalo.

Ku rakib hal xidid meesha dhismuhu socdo

Ka hel xididka hubinta IT-ga sida fayl PEM oo xaqiiji faraha saxeexa iyada oo loo marayo kanaal gooni ah ka hor inta aad aaminto. Sawirrada ku salaysan Debian, ku koobi /usr/local/share/ca-certificates/ oo socodsii update-ca-certificates; sawirrada qoyska RHEL waxay isticmaalaan update-ca-trust ka dib marka faylka la dhigo /etc/pki/ca-trust/source/anchors/. Dhismaha weelka, ku dar tallaabooyinkaas ka hor amarka guuldareysta si lakabka loo keydiyo korkiisa rakibidda ku tiirsanaanta.

Devcontainer maxalli ah, ku xidh PEM oo socodsii isla amarka cusboonaysiinta bilowga halkii aad ku dubi lahayd sawir shaqsi ah oo aan qof kale soo saari karin. Qalabka sita xirmadooda waxay u baahan yihiin beddelaadkooda la diiwaangeliyay: pip wuxuu leeyahay dejinta shahaadada, npm wuxuu leeyahay dejinta cafile, intooda badanna waxay aqbalaan doorsoomayaasha deegaanka caadiga ah.

Tani ma aha isla mid la mid ah aqbalaadda shahaado kasta. Waxaad ku daraysaa hal xidid gaar ah, oo laga helay dhinaca hubinta sameeya, hal deegaan, oo xaqiijintu way sii shidnaanaysaa silsilad kasta oo kale. Qor faylka la daray iyo goorta uu dhamaado, maxaa yeelay xididka hubinta waa la cusboonaysiiyaa sida CA kasta oo kale.

Marka is-gacan-qabsigu dhinto ka hor shahaado

Haddii wax la soo bandhigin, wax beddelaad ah oo ku yimaada bakka kaydka kalsoonida ma caawin doono. Isbarbardhig codsigaas oo isku mid ah tunnel-ka oo furan iyo oo xiran, ka dib si toos ah u baadh silsiladda openssl s_client -connect host:443 -servername host -showcerts. Xiriirka ka dhammaada bannaanka VPN oo gudaha ku dib u dejiya waa go'aan siyaasadeed oo qalabka dhexdhexaadka, daawaduna waa ka-reebitaan loogu talagalay martidaas, ma aha shahaado kale. Codso in diiwaanka xirmada ama barta API ay si aan beddelaad lahayn u gudbaan.

Kala qaybinta tunnel-ka si qalabku VPN-ga uga baxsado waxay ka fogaanaysaa hubinta taraafikadaas, taas oo laga yaabo inay jabiso siyaasadda oo aan qalabka lagu kalsoonaan karin ka dhigayn.

Qor natiijada qalab kasta

Qoraal gaaban oo taxaya binary-ga, faylka kalsoonida ee uu akhriyo, doorsoome deegaanka oo ciyaarta ku jira iyo ka-reebitaanka la ansixiyay wuxuu badbaadiyaa qofka xiga ogaanshaha oo dhan. Hay qoraalka qalab kasta halkii laptop kasta, maxaa yeelay laptop-ka ayaa dhif ah waxa beddelay.

Oo ku hay laba jumladood oo gooni ah tigidhka: waxaan rakibnay xidid shirkadeed gaar ah, oo waxaan daminnay xaqiijinta. Midkood oo kaliya ayaa ficil taageero ah.